AI vindt sneller lekken, maar reparatiebudget blijft achter bij crypto
AI kan sneller door miljoenen regels code zoeken. Dat klinkt als pure winst voor beveiliging, totdat de meldingen sneller binnenkomen dan onderhouders ze kunnen beoordelen en repareren.
Daar ligt een verantwoordelijkheid voor cryptobedrijven die zwaar op opensourcesoftware leunen. Betaal niet alleen voor audits en nieuwe vondsten. Financier ook de mensen die rapporten moeten triëren, patches beoordelen en veilige releases coördineren.
Een gevonden lek beschermt nog niemand
Een kwetsbaarheid vinden is slechts de eerste stap.
Daarna moet iemand vaststellen of het probleem echt bestaat. De fout moet reproduceerbaar zijn, de mogelijke schade moet worden bepaald en een reparatie moet worden ontworpen.
Vervolgens moet die patch worden getest.
Juist bij veelgebruikte software kan een snelle reparatie elders iets breken. Een veiligheidsfix die servers laat uitvallen, creëert een nieuw probleem.
De recente PHP-zaak laat zien hoe zwaar die opvolging kan worden.
PHP noemt eigen vertraging structureel falen
De PHP Foundation beschreef op 21 oktober hoe twee ernstige kwetsbaarheden uiteindelijk werden opgelost.
Eén onderliggend probleem was al in 2024 zichtbaar.
Er waren verschillende manieren om het te repareren, maar iedere route had nadelen. Denk aan problemen met compatibiliteit, nieuwe risico's op uitval of grote wijzigingen voor externe uitbreidingen.
De securityploeg kwam daardoor moeilijk tot een besluit.
PHP noemt de vertraging zelf een structureel falen, veroorzaakt door zowel het besluitvormingsproces als een gebrek aan beschikbare mensen met de juiste kennis.
Dat is de kern.
Meer detectie had dat probleem niet vanzelf opgelost.
Nieuwe onderzoekers maakten de ernst wel duidelijker
Nieuwe onderzoeken bleken alsnog waardevol.
Calif meldde in augustus 2026 een manier waarop hetzelfde onderliggende probleem tot uitvoering van code op afstand kon leiden. OpenAI rapporteerde onafhankelijk dezelfde oorzaak en later aanvullende aanvalsroutes.
Ook Wiz en Trail of Bits werkten aan onderzoek.
Daardoor werd duidelijker hoe ernstig de fout werkelijk was.
Vanaf dat moment zette PHP meerdere mensen fulltime op het probleem.
De Foundation zegt expliciet dat dit zonder financiering niet mogelijk was geweest.
Onderzoekers versnellen dus wel degelijk de veiligheid.
Maar alleen wanneer er aan de andere kant mensen beschikbaar zijn die hun resultaten kunnen verwerken.
AI verhoogt ook de hoeveelheid ruis
Dezelfde PHP Foundation beschreef op 14 oktober nog een ander effect.
Sinds 1 juli had het team 15 CVE's gepubliceerd.
Daarnaast werden 106 meldingen gesloten omdat ze geen beveiligingsprobleem bleken, dubbel waren of niet reproduceerbaar waren.
Dat betekent niet dat die 106 meldingen allemaal door AI waren gegenereerd.
De Foundation zegt wel dat AI-ondersteund onderzoek de hoeveelheid binnenkomende rapporten sterk heeft verhoogd.
Iedere afgewezen melding kost alsnog tijd.
Iemand moet hem lezen, testen en classificeren voordat het team verantwoord kan zeggen dat er niets mee hoeft te gebeuren.
Een slechte melding is niet gratis
Daarom verandert AI de economie van security.
Een model kan goedkoop duizenden combinaties proberen.
Voor de ontvangende opensourceploeg is iedere plausibel klinkende vondst juist een potentiële werkopdracht.
Dat verschil kan groot worden.
De kosten om een melding te genereren dalen, terwijl de kosten om haar betrouwbaar te beoordelen veel minder snel dalen.
PHP gebruikt zelf inmiddels AI om meldingen te valideren en verwante problemen te groeperen.
Maar de Foundation maakt één grens duidelijk: mensen nemen uiteindelijk de besluiten en beoordelen de patches.
De laatste meter blijft duur.
Curl voelt dezelfde druk
PHP staat daar niet alleen in.
Curl-ontwikkelaar Daniel Stenberg beschreef op 20 oktober een stroom aan beveiligingsmeldingen die de onderhouders zwaar belast.
Vanaf 26 oktober verandert het project daarom zijn procedure.
Meldingen met de ernst LOW of MEDIUM moeten vaker openbaar via GitHub worden behandeld. Alleen HIGH en CRITICAL blijven standaard in het besloten HackerOne-proces.
De reden is opvallend openhartig.
De belangrijkste onderhouders voelen zich overbelast en willen voorkomen dat het project verdrinkt in de meldingen.
Openbaar werken verdeelt werk én risico
Die beleidswijziging heeft een voordeel.
Andere ontwikkelaars kunnen eerder helpen met analyse, patches en het controleren van oplossingen.
Meer ogen kunnen het werk verdelen.
Maar Stenberg benoemt ook de prijs.
Wanneer een zwakke plek openbaar wordt besproken voordat een oplossing breed beschikbaar is, kunnen kwaadwillenden dezelfde informatie lezen.
Curl accepteert dat extra risico voor problemen onder HIGH omdat de huidige werklast volgens het project niet houdbaar is.
Dat is geen theoretische discussie over personeelsplanning.
Een tekort aan opvolgcapaciteit verandert hier daadwerkelijk het disclosurebeleid.
Cryptobedrijven zijn zelf afhankelijk van dit werk
Dat hoort de cryptosector serieus te nemen.
Een blockchain kan sterke cryptografische regels hebben en toch afhankelijk zijn van gewone opensourcesoftware voor websites, API's, servers en ontwikkeltools.
Crypto-exchanges draaien niet in een technisch vacuüm.
Hetzelfde geldt voor aanbieders van wallets, block explorers, stakingdiensten en andere platforms.
Een ernstig probleem in een gedeelde softwarelaag kan daardoor partijen raken die zelf geen regel van die software hebben geschreven.
Wie economisch profiteert van opensource, heeft daarom ook belang bij voldoende onderhoudscapaciteit.
Audits financieren zonder opvolging is half werk
Veel beveiligingsprogramma's hebben een aantrekkelijk meetbaar resultaat.
Een audit levert een rapport op.
Een bug bounty levert aantallen meldingen en uitgekeerde beloningen op.
Een nieuwe scanner kan laten zien hoeveel code hij heeft onderzocht.
Triage is minder spectaculair.
Patchreview evenmin.
Releasecoördinatie levert meestal geen mooie teller op voor een jaarverslag.
Toch zit juist daar het verschil tussen een gevonden fout en een veiligere gebruiker.
Een beveiligingsbudget dat alleen de ontdekking financiert, koopt daarom maar de helft van het proces.
Beloon onderzoekers vooral wél
Dat is geen argument om bug bounties of onafhankelijke audits te verminderen.
Het PHP-voorbeeld laat juist zien waarom externe onderzoekers waardevol zijn.
Nieuwe bevindingen maakten duidelijk dat een ouder probleem ernstiger was dan aanvankelijk gedacht.
Goede onderzoekers moeten daarvoor betaald worden.
De fout zit in de gedachte dat de investering daar kan stoppen.
Wanneer honderd bruikbare meldingen binnenkomen, moet iemand honderd keer een besluit kunnen nemen.
Als er daarna twintig patches nodig zijn, moeten die twintig patches worden ontworpen, getest en uitgebracht.
Financier werk dat minder zichtbaar is
Cryptobedrijven kunnen hun bijdrage daarom breder bekijken.
Niet alleen: wie vindt voor ons het volgende lek?
Maar ook: wie onderhoudt de software waarvan wij afhankelijk zijn?
Wie heeft tijd om een melding dezelfde dag te reproduceren?
Wie kan een patch reviewen zonder zijn andere werk stil te leggen?
En wie kan een beveiligingsrelease met leveranciers coördineren zodra de klok begint te lopen?
Dat werk hoeft niet noodzakelijk door het cryptobedrijf zelf te worden uitgevoerd.
Structurele financiering van de opensourceprojecten waarop het bedrijf steunt kan hetzelfde doel dienen.
Meer geld garandeert geen betere security
Daar hoort wel een stevige beperking bij.
Geld alleen lost slechte besluitvorming niet op.
PHP zegt zelf dat het eerdere probleem zowel door middelen als door het consensusproces werd vertraagd.
Meer ontwikkelaars hadden een ingewikkelde keuze niet automatisch eenvoudig gemaakt.
Ook kan vaste financiering slechte processen in stand houden wanneer niemand meet wat er daadwerkelijk beter wordt.
Daarom moet financiering worden gekoppeld aan resultaten die ertoe doen.
Worden meldingen tijdig beoordeeld? Krijgen ernstige problemen voorrang? Worden patches onafhankelijk nagekeken? Kunnen releases veilig worden uitgerold?
Dat zijn betere vragen dan alleen hoeveel mensen op de loonlijst staan.
AI maakt de bottleneck zichtbaarder
Er zijn voor deze opinie geen contracten of beveiligingsbudgetten van individuele cryptobedrijven onderzocht.
De stelling is dus niet dat de sector uitsluitend onderzoekers financiert en onderhouders vergeet.
De norm is breder.
Nu AI de kosten van zoeken verlaagt, moet de capaciteit aan de andere kant kunnen meegroeien.
Anders bouwen we steeds betere machines om kwetsbaarheden te vinden, waarna menselijke onderhouders een steeds grotere stapel waarschuwingen voor zich krijgen.
Een CVE is geen eindproduct.
De gebruiker wordt pas veiliger wanneer iemand de fout begrijpt, de reparatie controleert en ervoor zorgt dat die op tijd terechtkomt waar hij nodig is.
Stop met te veel betalen voor je crypto. Bij de Amsterdamse exchange Finst handel je tegen de laagste tarieven van Nederland, zonder verborgen kosten.
👀 Bekijk Finst nu ›Let op: Beleggen in crypto brengt risico’s met zich mee. Handel alleen met geld dat u kunt missen.
Ga verder met lezen
Dit vind je misschien ook leuk
Laat mensen jouw mening weten
Lees ook
Populair Nieuws
Loading
